مقدمه

یکی از تنظیمات کمتر شناخته‌شده اما کاربردی در سرویس SSH، پارامتری به نام LoginGraceTime است.

این گزینه مشخص می‌کند که یک کاربر پس از برقراری اتصال به سرور، چه مدت فرصت دارد فرآیند احراز هویت خود را تکمیل کند. اگر در این بازه زمانی نام کاربری، رمز عبور یا کلید SSH معتبر ارائه نشود، اتصال به‌صورت خودکار قطع خواهد شد.

اگرچه LoginGraceTime به‌تنهایی مانع حملات سایبری نمی‌شود، اما با کاهش زمان باز ماندن اتصال‌های بدون احراز هویت، می‌تواند مصرف منابع سرور را کاهش داده و مقاومت آن را در برابر برخی حملات افزایش دهد.

در این مقاله با نحوه عملکرد LoginGraceTime، مقدار مناسب برای آن و روش تنظیم این پارامتر آشنا خواهیم شد.

LoginGraceTime چیست؟

LoginGraceTime مدت زمانی است که سرویس SSH پس از برقراری اتصال، منتظر احراز هویت کاربر می‌ماند.

اگر کاربر در این مدت موفق به ورود نشود، اتصال به‌طور خودکار بسته خواهد شد.

چرا LoginGraceTime اهمیت دارد؟

فرض کنید مهاجمی هزاران اتصال به SSH ایجاد کند اما هیچ‌گاه فرآیند ورود را کامل نکند.

اگر زمان انتظار بسیار طولانی باشد:

• تعداد زیادی اتصال نیمه‌تمام روی سرور باقی می‌ماند.
• منابع سیستم اشغال می‌شوند.
• احتمال بروز حملات مبتنی بر مصرف منابع افزایش می‌یابد.

کاهش LoginGraceTime باعث می‌شود این اتصال‌های بلااستفاده سریع‌تر بسته شوند.

مقدار پیش‌فرض

در بسیاری از نسخه‌های OpenSSH مقدار پیش‌فرض به شکل زیر است:

LoginGraceTime 2m

یعنی کاربر دو دقیقه فرصت دارد فرآیند ورود را تکمیل کند.

مقدار مناسب چقدر است؟

برای بیشتر سرورهای عملیاتی، مقادیر زیر مناسب هستند.

در بیشتر محیط‌های عملیاتی، ۳۰ تا ۶۰ ثانیه انتخاب مناسبی است.

آیا مقدار خیلی کم مناسب است؟

خیر.

اگر مقدار بسیار کمی مانند:

LoginGraceTime 5s

تنظیم کنید، ممکن است کاربران واقعی در شبکه‌های کند فرصت کافی برای احراز هویت نداشته باشند.

به همین دلیل، مقادیر کمتر از ۱۵ ثانیه معمولاً توصیه نمی‌شوند.

محل تنظیم LoginGraceTime

فایل تنظیمات SSH:

/etc/ssh/sshd_config

برای ویرایش:

sudo nano /etc/ssh/sshd_config

پیدا کردن گزینه

در فایل به دنبال این گزینه باشید:

#LoginGraceTime 2m

یا

LoginGraceTime 2m

تنظیم مقدار جدید

برای مثال:

LoginGraceTime 30s

یا

LoginGraceTime 45s

یا

LoginGraceTime 1m

OpenSSH از واحدهای زمانی مانند:

• s (ثانیه)
• m (دقیقه)

پشتیبانی می‌کند.

بررسی تنظیمات

قبل از اعمال تغییرات:

sudo sshd -t

اگر خروجی نمایش داده نشود، یعنی فایل تنظیمات صحیح است.

اعمال تغییرات

در Ubuntu و Debian:

sudo systemctl restart ssh

در AlmaLinux و Rocky Linux:

sudo systemctl restart sshd

تست تنظیمات

پس از اعمال تغییرات:

1. یک اتصال SSH جدید برقرار کنید.
2. نام کاربری یا کلید را وارد نکنید.
3. منتظر بمانید.

پس از پایان زمان تعیین‌شده، اتصال باید به‌صورت خودکار قطع شود.

آیا LoginGraceTime از Brute Force جلوگیری می‌کند؟

خیر.

LoginGraceTime تعداد دفعات ورود ناموفق را محدود نمی‌کند.

این پارامتر فقط مدت زمان انتظار برای احراز هویت را کنترل می‌کند.

برای مقابله با Brute Force باید از موارد زیر استفاده کنید:

• SSH Key Authentication
• Fail2Ban
• MaxAuthTries
• محدود کردن IP
• غیرفعال کردن Password Authentication

ارتباط LoginGraceTime با MaxAuthTries

این دو گزینه معمولاً با یکدیگر اشتباه گرفته می‌شوند.

این دو تنظیم مکمل یکدیگر هستند.

آیا مقدار صفر مناسب است؟

خیر.

اگر مقدار زیر را تنظیم کنید:

LoginGraceTime 0

سرور بدون محدودیت زمانی منتظر احراز هویت خواهد ماند.

این تنظیم در بیشتر سرورهای عملیاتی توصیه نمی‌شود.

بهترین روش‌ها

برای بیشتر سرورها:

• مقدار ۳۰ تا ۶۰ ثانیه انتخاب مناسبی است.
• از SSH Key Authentication استفاده کنید.
• Root Login را غیرفعال کنید.
• Password Authentication را غیرفعال کنید.
• MaxAuthTries را نیز کاهش دهید.
• از Fail2Ban برای مقابله با حملات استفاده کنید.

اشتباهات رایج

برخی از خطاهای متداول عبارت‌اند از:

• تعیین زمان بسیار کوتاه
• تنظیم مقدار صفر
• فراموش کردن راه‌اندازی مجدد SSH
• تصور اینکه LoginGraceTime جایگزین Fail2Ban است
• عدم بررسی فایل تنظیمات با sshd -t

چک‌لیست

پس از تنظیم LoginGraceTime، موارد زیر را بررسی کنید:

• مقدار مناسب انتخاب شده است.
• فایل sshd_config بدون خطا است.
• سرویس SSH راه‌اندازی مجدد شده است.
• اتصال‌های بدون احراز هویت در زمان تعیین‌شده قطع می‌شوند.
• سایر تنظیمات امنیتی SSH نیز فعال هستند.

جمع‌بندی

LoginGraceTime یکی از پارامترهای امنیتی سرویس SSH است که مدت زمان مجاز برای تکمیل فرآیند احراز هویت را مشخص می‌کند. اگرچه این تنظیم به‌تنهایی از حملات جلوگیری نمی‌کند، اما با کاهش زمان باز ماندن اتصال‌های بدون احراز هویت، مصرف منابع سرور را کاهش داده و یکی از اجزای مهم سخت‌سازی سرویس SSH محسوب می‌شود.

برای دستیابی به امنیت بیشتر، LoginGraceTime را در کنار MaxAuthTries، SSH Key Authentication، غیرفعال کردن Password Authentication، غیرفعال کردن Root Login و Fail2Ban استفاده کنید. ترکیب این تنظیمات، سطح امنیت دسترسی از راه دور به سرور را به شکل قابل توجهی افزایش خواهد داد.

کیان پور